미래의 어느 날, 서울시 광화문 광장.

회사원 A 씨는 다른 날과 마찬가지로 출근길에 나서는 중이었다. 스마트워치에 뜨는 거래처 내역을 확인하며 해외지사에서 온 메일을 열람한 그는 오후에 있을 미팅을 위해 회의장소를 원격으로 찾고 있었다. 바로 그 순간, 스마트워치가 버벅이더니 화면이 다운되어 버렸다. ‘이게 무슨 일이지?’ A 씨는 고개를 갸웃거리며 입맛을 다셨다.

그때 A 씨의 옆을 지나가던 누군가가 황당한 표정으로 소리를 질렀다. “내 돈!” 그는 들고 있던 태블릿을 뚫어져라 바라보며 경악하고 있었다. 무슨 일인가 싶어 슬쩍 화면을 엿보니, 그의 계좌에 있던 돈이 순식간에 인출된 것 같았다. ‘랜섬크립트(Ransomcrypt)의 확대로 랜섬웨어를 사용한 공격이 많아져 금융보안이 비상이라던데’ A 씨는 혀를 끌끌 차며 고개를 가로저었다. 하지만 이게 끝이 아니었다. 멀쩡히 길을 가던 노인이 갑자기 호흡을 멈추며 쓰러진 것이 아닌가. 황급히 뛰어갔지만 이미 노인의 몸은 차갑게 식어있었다. 가슴을 헤쳐보니 심박동 유지장치 웨어러블 기기가 작동을 멈췄다. ‘어떻게 이런 일이‧‧‧.’

바로 그 순간, 도로를 가득 메운 무인자동차들이 갑자기 뒤엉키더니 괴성이 울려 퍼진다. 이를 신호로 도로와 인도의 경계를 나누는 자동라인 시스템이 사라지며 사람들의 비명이 사방에서 터져 나왔다. ‘무슨 일이 벌어졌다!’ 본능적으로 위험을 직감한 A 씨는 사람들에 휩쓸려 근처 건물로 피신했다. 하지만 건물 내부도 아수라장이었다. 천장의 스프링클러가 갑자기 터지며 엘리베이터가 오작동을 일으키더니 급기야 건물 전체의 온도가 급상승하기 시작한다. 20도, 30도, 50도. 절망에 빠진 사람들은 화염에 휩싸여 비명을 지르며 나뒹군다. 하지만 A 씨는 운이 좋은 편이었다. 재빨리 인파를 빠져나온 그는 로비에 있는 정원의 우물로 뛰어들었다. ‘치치직...’ 급격하게 올라간 건물 온도로 로비는 지옥으로 변하고 있었다.

‘도대체 패트롤들은 뭐하고 있는 거야!’ A 씨는 죽음의 공포에 떨며 불안한 눈동자만 굴린다. 그때 건물의 통유리가 와장창 깨지며 청소용 로봇이 나타났다. 하지만 그들의 손에 들린 것은 청소도구가 아닌 불법으로 개조한 화기. A 씨의 눈이 경악으로 커진다. 드르륵! 수십 발의 총알이 로비를 쑥대밭으로 만들었다. 절망한 A 씨는 허탈한 눈으로 창밖을 바라보았다. 도시 곳곳에 피어오르는 붉은 화염, 그리고 사람들의 울부짖는 소리. 정신을 잃어가던 A 씨가 마지막으로 본 것은, 서울 하늘을 까맣게 메운 공격용 드론 수십 대였다.

 사물인터넷 시대, 보안은 생명이다

사물인터넷 시대가 도래하며 다양한 IT 기술의 발전이 동시다발적으로 진행되고 있다. 가트너는 2015년 ‘인터넷 연결 기기(Connected Things)’의 대수가 올해보다 30% 증가한 49억대, 2020년에는 250억대에 이를 것이라고 예측할 정도다. 소비자, 기업, 정부기관 등 많은 조직이 관련 기술의 활용 방식을 모색함에 따라 연결된 사물이 급격히 증가하며 사물인터넷의 경제적 파급효과도 클 것으로 보인다. 2015년 총 사물인터넷 서비스 지출액은 695억달러지만 2020년에는 2630억달러까지 증가할 전망이다.

하지만 눈부시게 발전하는 기술적 진보는 그에 따른 보안의 위험을 내포하고 있다. 모든 기기의 연결을 바탕으로 각 기기의 스마트한 작동을 담보하는 사물인터넷의 보안은 역으로 문제가 발생했을 때 연쇄적이고 끔찍한 파국을 가능하게 만든다.

지난달 27일 박정수 시만텍코리아 부장은 ‘시큐리티 넥스트 콘퍼런스(SNC) 2015’에 참석해 사물인터넷 시대의 보안을 강조하는 한편 ‘센서, 게이트웨이, 서버’ 구간의 3단계 보안이 필요하다고 설명했다. 말단 디바이스를 비롯해 콘트롤 타워 능력을 조율하는 모든 사물인터넷 데이터가 빅데이터의 방식으로 연결되어 있기 때문이다. 사물인터넷 보안이 흔들리면 방금 설명한 시나리오는 당장 현실이 될 가능성이 높다. 해킹이 이뤄지는 순간, 우리의 삶을 편리하게 연결하던 사물인터넷은 도시와 국가를 괴멸시키는 끔찍한 재앙이 되기 때문이다. 컨트라스트 시큐리티(Contrast Security)의 최고기술경영자(CTO)인 제프 윌리엄이 경고한 바와 같이 사물인터넷은 누군가를 죽일 수 있는 무기가 될 가능성이 높다.

가트너의 부사장 겸 펠로우인 스티브 프렌티스(Steve Prentice)도 “제품이나 서비스의 단순한 디지털화가 아닌 신규 비즈니스 모델과 가치를 창출하는 과정에서 가장 큰 위협과 기회가 발생할 것”이라며 “기업들은 정보를 수집하고 분석하려는 의지와 더불어 정보의 손실이나 오용으로 인한 위험 간의 균형을 찾기 위해 노력해야 할 것”이라고 말했다.

실제로 사물인터넷으로 인해 발생하는 정보보안, 정보기술 보안, 운영기술 보안, 물리적 보안 사이의 연관성이 그 어느 때보다 강조되고 있다. 가트너는 기업의 보안을 통제, 관리, 운영할 담당자를 선정할 필요가 있으며, 2017년 말이면 기업의 20% 이상이 사물인터넷 기기 및 서비스 관련 비즈니스를 보호할 전용 디지털 보안 서비스를 도입할 전망이라고 분석했다.

사물인터넷을 노리는 창은?

사물인터넷을 통한 주요 예상 공격지점은 어디일까? 시만텍코리아에 의하면, 우선 스마트홈 자동화 시스템이다. 원격제어 시스템을 기반으로 삼는 플러그 앤 플러그 기기들을 통해 누군가 시스템을 장악하면 시스템의 모든 권한이 타인에게 넘어가며, 이는 돌이킬 수 없는 파국을 예고하기 때문이다. 특히, 인터넷 검색엔진을 통해 콘텐츠를 해킹하는 시도가 발생하면 상황은 더욱 심각해진다. 사물인터넷으로 연결된 기기들은 해커의 ‘치고 빠지는’ 단발성 공격에 무기력한 모습을 보이기 때문이다.

애플페이와 알리페이, 페이팔 등 모바일 결제시스템의 증가로 모바일 디바이스를 목표로 삼는 공격도 증가할 전망이다. 특히, 근거리 무선통신에 집중된 해커들의 공격이 많아질 것으로 예상된다. 현재 모바일 결제시스템 업체들은 보안에 있어 최선의 방책을 세웠다고 자평하고 있지만, 이러한 호언장담이 100%라고 볼 수는 없다. 금융분야 사고를 타깃으로 삼을 전망이다.

직접적인 공격인 ‘랜섬웨어(Ransomware)’도 증가할 전망이다. 최근 시만텍의 ‘인터넷 보안 위협 보고서(Internet Security Threat Report)’에 따르면 개인정보를 탈취해 돈을 요구하는 랜섬웨어를 사용한 공격이 2013년 전년 대비 500% 증가했으며, 10월 한 달간 전체 랜섬웨어에서 공격형 랜섬웨어가 차지하는 비중은 절반이 넘는 55%에 달했다.

특히, 랜섬웨어로 인한 피해는 공격을 받아 암호화된 피해자의 파일은 물론, 공유파일이나 네트워크 드라이브에 첨부된 파일까지 손실을 입혀 더 큰 피해를 초래한다. 확장되며 피해를 입히는 방식이기 때문이다. 비트코인과 같은 전자 결제시스템을 사용할 수 있게 되면서 랜섬웨어로 인한 데이터, 파일 및 메모리 손실 위험은 더욱 커질 것으로 전망된다. 모두 금융사고다.

모바일 앱 사용에 대한 공격도 예상 가능하다. 앱 활용의 저변이 넓어지며 이용자의 정보가 방대하게 수집되고 있기 때문이다. 우리는 앱에 헬스 및 신상정보, 금융 및 각종 사생활 정보를 저장하고 제공하고 있다. 그런데 만약 이러한 정보가 해커에게 넘어가고, 이를 바탕으로 새로운 시스템 코드를 입력한다면? 당연히 통제권을 상실하게 된다. 특히, 앱은 아직 보안에 있어 완벽한 준비를 갖추지 못한 상태다. 아직 발전하고 있는 과도기이기 때문에, 다양한 형태의 보안위협에 직면해 있는 것이 사실이다.

디도스 공격 증가와 클라우드의 이용자 확대도 사물인터넷 시대의 위험요소다. 디도스 공격은 한꺼번에 수많은 컴퓨터가 특정 웹사이트에 접속함으로써 비정상적으로 트래픽을 늘려 해당 사이트의 서버를 마비시키는 해킹 방법으로 정의할 수 있다. 여기서 트래픽이 많이 발생할 때 서버가 분산하는 기능이 있는데, 이를 무력화시킨다는 뜻에서 '분산서비스 거부 공격'이라고 부르기도 한다. 가장 광범위한 공격으로 여겨진다.

디도스와 클라우드는 방대한 정보를 저장했다는 점에서 사물인터넷 참극의 주인공이 될 확률이 높다. 만약 해커가 디도스 공격과 클라우드 해킹을 반복하며 국가 기간시설의 콘트롤을 잡는다면? 우리가 아무 생각없이 즐겼던 공공 인프라는 순식간에 치명적인 무기가 될 수 있다.

사물인터넷을 지키는 방패는?

하지만 공격을 막을 방패도 있다. 사물인터넷 시대의 발전으로 파생되는 다양한 부작용을 막기 위한 노력도 이어지고 있다. 대표적인 사례가 미래창조과학부 주도의 사물인터넷 보안대책이다. 이는 표준화 선점을 통해 궁극적으로 사물인터넷의 발전을 꾀하는 방식이지만, 역으로 보안의 문제까지 고려한 대책으로 여겨진다.

현재 미래창조과학부는 제품 서비스를 안전하게 보호하는 디바이스, 네트워크, 서비스·플랫폼 등 3개 계층에 맞는 9대 핵심원천기술을 개발하는 ‘시큐어돔 프로젝트’를 시작하며 네트워크돔을 통해 이기종 기기가 사물 네트워크에서 실시간 이상 징후를 탐지 및 대응할 수 있도록 만든다는 계획이다. 물론, 서비스돔을 통해서도 사물인터넷 서비스 환경에 적합한 인증과 프라이버시 보호, 서비스용 보안 솔루션 개발이 개발된다. 현재 미래창조과학부는 사물인터넷 관련 기술을 주요 정보통신 기반시설로 지정한다는 계획이다.

다만, 미래창조과학부의 사물인터넷 정책이 정치적인 상황과 맞물려 현재 논란을 일으키고 있는 사이버 사찰과 비슷한 문제를 발생시킬 소지도 있다. 정보통신기술(ICT) 사업에 있어 정치적인 상황에 따른 검열 및 사찰은 결국 해당 산업의 붕괴를 의미한다. 만약 사물인터넷 시대에 현재의 다음카카오와 비슷한 일이 발생한다면, 더욱 강력한 '연결'을 바탕으로 '빅브라더'의 시대가 도래할 수 있다.

그 단적인 사례가 사물인터넷의 주요 정보통신 기반시설 지정이다. 물론, 주요 정보통신 기반시설은 국가보안에 있어 중요하게 여겨지는 '제도'지만 자칫 '보안을 매개로 벌어지는 사찰'이 벌어질 공산이 크다는 점에서 양날의 칼이다. 그런 이유로 지난해 7월 미래창조과학부와 국가정보원이 3.20 해킹 사태를 이유로 지상파를 주요 정보통신 기반시설에 포함시키려 하자 방송협회를 중심으로 엄청난 반발이 벌어지기도 했다. 이런 사태가 사물인터넷 시대에도 발생한다면, 우리나라는 사물인터넷 시장의 주도권은 커녕 실질적인 정책입안도 어려워진다. 고민이 필요한 부분이다.

다양한 인증관리 시스템의 정교화도 보안대책 중 하나다. 우선 디바이스의 적합도를 측정하는 기술들이 속속 개발되고 있으며, 센서기술과 더불어 하드닝(애플리케이션이 접근 가능한 리소스를 지정해 주는 작업)도 발전하고 있다. 이외에도 이용자 행동양식의 중요성을 강조하며 강력한 사이버 보안을 위한 공조체제도 빠르게 이뤄지고 있다. IBM, HP, GE, 마이크로소프트, 도요타를 비롯한 많은 기업이 2014년 3월 ‘산업 인터넷 컨소시엄(the Industrial Internet Consortium, IIC)’을 발족한 것이 대표적이다.

특히, 기계학습이 포인트로 부상하고 있다. 심층 학습(Deep Learning)을 기반으로 삼는 인공지능의 첫 단계인 기계학습은 예측과 탐지율을 바탕으로 사이버 공격을 미연에 방지하는 역할을 수행할 것으로 보인다.

앞으로 사물인터넷은 디지털 보안 아키텍처에 신규 플랫폼, IT와 사물인터넷의 하이브리드 통합 방식, 산업별 새 기준, 앱에 대한 새로운 관점 등을 도입하며, 업체들은 각 기술의 차이점에 대해 수용해야 할 시대가 올 전망이다. 사물인터넷 관련 위협과 보안에 대한 다면적 기술 접근방식이 속속 개발되고 있다. 또 각 기기가 생산하는 정보의 양이 다르기 때문에 업체들은 디지털 비즈니스 요구조건과 실제 디지털 보안 간의 균형을 찾기 위해 노력하고 있다.

빅브라더의 시대, 고비를 넘겨야

최근 RSA의 보안 아키텍트 총괄 라미시 놀즈는 사물인터넷 시대 보안의 중요성을 강조하며 "위험한 범죄자들이 의료 기기를 해킹해 피해자를 협박하는 새로운 방식의 수법이 늘어날 수 있다"고 말했다. 정보가 모이고, 이러한 정보가 연결되어 각자의 스마트 생태계를 구축하는 상황에서 충분히 실현가능성이 있다. 그는 “언제 첫 번째 살인이 일어나느냐의 문제일 뿐, 이와 예상되는 시나리오는 이미 예고된 것”이라고 덧붙였다.

기술 발전은 인류역사의 진보와 궤를 함께했다. 하지만 이를 통해 발생하는 문제는 아직도 해결되지 않았다. 이러한 점을 고려하면, 사물인터넷 시대를 더욱 확실하게 준비할 수 있지 않을까. 단 여기서 중요한 것은, 보안을 이유로 과도한 개입이 이어질 경우 이는 오히려 역효과를 발생시킨다는 점이다. 다음카카오 감청사건이 민감한 ‘개인정보의 과도한 정보수집’의 반발심에서 비롯됐다는 점을 잊지 말아야 한다.